> Уважаемый, может довольно болтовни?

инструкции от коммерческих dpi, dlp и стат-анализаторов - штука ужасающе скучная, к тому же для почитания обычно требуют логинов и паролей, хз зачем (попробуйте поискать в открытых источниках хотя бы рекламные техданные на ту же цискину чорную коробку, уж казалось бы, ширпотребней некуда - удивитесь, как мало найдете - если вообще найдете). А я тут развлекаюсь.

> унит..... простите в демагогию и пишите пространные стены об анализаторах и
> университетах, о которых никто никогда не слышал?

детишки не слышали, как и еще много о чем (точнее, вы не хотите слушать) - но я, в целом, не для вас и пишу - это все же сайт изначально придуманный для профессионалов, и они, кстати, сюда ходят, хотя и редко светятся. Умный пойдет задавать кому надо умные вопросы. Совсем умный поймет, что не так и как обойти проблему, но ему и не надо.

Ну хорошо, лабораторная работа, чисто умозрительная (в смысле, не надо бежать в родную школу ставить этот опыт, вы все равно чисто его не сумеете провести и выводы сделаете неправильные), нарисуйте на бумажке: график загрузки порта типичного домашнего  пользователя, в байтиках, лайкающего котиков или смотрящего онлайн-порнуху (учтите, что иногда он меняет руку), и график загрузки порта пользователя, гоняющего поверх гиговых тифов эхо-маськвы (Г-пди... ибо не ведают, что творят) с секундным разрешением, больше, наверное, низачем и не надо.
Добавьте к этому возможность откинуть в сторону траффик на хорошо известные порносайты, типа гуглевтентакля, на которых не может быть совершенно ничего неожиданного, а будет, своя сб займется, и, при желании - траффик, не предназначенный для выхода за пределы 1/6.
Сможете сами написать простенькую программку, различающую эти две ситуации с хорошей долей вероятности даже без необходимости задействовать сложные технологии вроде машинного обучения, или все же я прав и в институте вас вообще ничему не научили кроме копипасты?
Ну так вот в каком-нибудь qradar (банальной энтерпрайзной софтине вовсе не для этого) она уже - написана и есть.

> Обычно дают примеры реализаций

я вам дал пример, злоупотребив служебным положением и разгласив (чужую ;-) служебную тайну, какая именно железяка, к примеру, стоит в школьном проекте или, во всяком случае, могла бы стоять (под общегосударственную фильтрацию ее тоже пытались продать, при мне ростелек не заинтересовался, но это довольно давно было, к тому же это не единственное поступавшее им предложение). С ней вполне может подурачиться любой школьник - если там помимо блокировки включены еще и предупреждения и возьмут за жопу, что маловероятно, валите все на младшеклассников, до 14 лет их только на учет поставить могут. А вам все драфты с архива, смех и грех... (учтите, аномалии траффика она тоже видит, хотя это и совсем не ее задача, долго в одном месте не экспериментируйте, придут и надают по жопе просто чтоб занятых людей не отвлекали - очень вряд ли вы догадаетесь правильно/убедительно изобразить школьника, бездельничающего после урока - вы даже графические файлы выбрали не те)

На очевидные детские ошибки в конкретно вашей задумке, в принципе, устранимые тем же методом копипасты - тоже вполне прозрачно намекнул. Не поняли - ну, звиняйте. Всерьез учить детишек плохому я не хочу. Они все равно потом попадутся, а виноват буду я.

Или это таки провокатор.